Biotech & MedTech · Regulatorische Strategie für AI/ML-Produkte

Stellen Sie sich vor, Ihr Diagnosealgorithmus erkennt eine diabetische Retinopathie auf einem Netzhautscan. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → funktioniert. Sechs Monate nach dem Launch trainiert Ihr Data-Science-Team ihn mit 40.000 neuen Bildern neu, und die Genauigkeit steigt um zwei Punkte. Bei normaler Software liefern Sie das Update am Dienstag aus. Bei einem regulierten Medizinprodukt kann dieses Update eine nicht genehmigte Änderung sein, die Sie von einem Tag auf den anderen aus der Compliance wirft.

Das ist der zentrale Konflikt von KI in der Medizintechnik: Der ganze Wert von Machine Learning liegt darin, dass es sich durch Lernen verbessert, aber Regulierer genehmigen ein fixes, eingefrorenes Produkt. Diese Lektion zeigt, wie die FDA und die EU mit diesem Konflikt umgehen, damit Sie eine Go-to-MarketGo-to-MarketDie Strategie, die festlegt, wie Sie ein Produkt einführen: Zielsegmente, Kanäle, Value Proposition und koordinierter Aktionsplan.Vollständige Definition ansehen →-Strategie bauen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, die Ihre eigenen Modell-Updates übersteht.

Das Grundkonzept: Software as a Medical Device

SaMD (Software as a Medical Device) ist Software, die für einen medizinischen Zweck bestimmt ist und diesen Zweck erfüllt, ohne Teil eines Hardware-Produkts zu sein. Eine App, die ein EKG auswertet und Vorhofflimmern markiert, ist SaMD. Die Firmware in einer Infusionspumpe ist es nicht (das ist Software *in* einem Produkt).

Die meisten eigenständigen AI/ML-Produkte in Diagnostik, Triage und klinischer Entscheidungsunterstützung fallen unter SaMD. Diese Klassifizierung ist Ihr Einstiegspunkt in das US- wie in das EU-System.

Zwei Dinge bestimmen, wie stark Sie reguliert werden:

• Risiko für den Patienten. Informiert die Software, steuert sie, oder diagnostiziert sie? Ein Tool, das einem Radiologen einen möglichen Befund vorschlägt, hat ein geringeres Risiko als eines, das eigenständig eine Erkrankung ausschließt.
• Die Schwere der Erkrankung. Sepsis-Triage wird strenger geprüft als eine Wellness-Erinnerung.

Der FDA-Pfad

In den USA kommt die meiste SaMD über den 510(k)-Weg auf den Markt (Sie zeigen, dass Ihr Produkt „substantially equivalent“ zu einem bereits zugelassenen Produkt ist) oder, bei neuartigen Produkten mit niedrigem bis mittlerem Risiko, über den De Novo-Weg. Produkte mit höherem Risiko brauchen eine Premarket Approval (PMA), ein deutlich schwereres Unterfangen.

Die FDA hat bereits hunderte AI/ML-basierte Produkte zugelassen. Die Behörde pflegt eine öffentliche Liste der AI/ML-enabled medical devices, die beste frei verfügbare Quelle, um zu sehen, was tatsächlich zugelassen wurde und in welchen Fachgebieten. Studieren Sie sie, bevor Sie Ihre Einreichung planen: sie zeigt Ihnen, welche Predicate Devices für ein 510(k) existieren.

Das Problem des eingefrorenen Modells

Hier liegt der Haken. Traditionell hat die FDA einen *gesperrten* Algorithmus zugelassen. Ändern Sie das Modell so, dass Sicherheit oder Leistung betroffen sein könnten, brauchten Sie in der Regel eine neue Einreichung. Bei einem kontinuierlich lernenden System bedeutet das eine regulatorische Einreichung bei jedem Retraining. Kommerziell unmöglich.

Der Predetermined Change Control Plan

Die Antwort der FDA ist der Predetermined Change Control Plan (PCCP). Das ist das wichtigste Konzept dieser Lektion.

Ein PCCP erlaubt Ihnen, *im Vorfeld und als Teil Ihrer ursprünglichen Einreichung* zu beschreiben, welche Änderungen Sie an Ihrem Modell planen und wie Sie diese sicher umsetzen. Fällt eine künftige Änderung in den genehmigten Plan, können Sie sie ohne neue Marketing-Einreichung umsetzen.

Ein PCCP hat drei Teile:

1. Description of Modifications. Genau das, was Sie ändern wollen. Zum Beispiel: „Retraining mit neuen Daten derselben Population, um die Sensitivität zu erhalten“ oder „Ausweitung auf eine neue Altersgruppe“. Vage Pläne werden abgelehnt.
2. Modification Protocol. Die Methoden: wie Sie Daten erheben, neu trainieren, validieren und Akzeptanzkriterien festlegen (die Leistungsschwellen, die eine neue Version vor dem Release erreichen muss).
3. Impact Assessment. Eine Analyse der Risiken, die jede Änderung mit sich bringt, und wie das Protokoll sie kontrolliert.

Die FDA hat ihre PCCP-Guidance im Dezember 2024 finalisiert, was das Konzept in die operative Realität gebracht hat. Wenn Sie ein lernendes System für die USA bauen, ist ein PCCP jetzt Ihre Standardstrategie.

Was ein PCCP nicht abdeckt

Ein PCCP ist eine Grenze, kein Blankoscheck. Eine Änderung des Intended Use (etwa der Wechsel von „Unterstützung für Kliniker“ zu „autonome Diagnose“), ein neuer klinischer Claim oder eine Änderung der Zielpopulation über Ihren Plan hinaus liegen außerhalb und erfordern eine neue Einreichung. Ziehen Sie diese Grenze bewusst: zu eng, und Sie reichen ständig ein, zu weit, und die FDA lehnt ab.

Der EU-Pfad: MDR

Die EU reguliert dieselbe Software über die Medical Device Regulation (MDR), die die alte Medizinprodukte-Richtlinie 2021 vollständig ersetzt hat. Die Philosophie ist anders, und das ist für Ihre globale Launch-Sequenz relevant.

Wesentliche Unterschiede zu den USA:

• Klassifizierung nach Regeln, nicht nach Predicates. Die MDR arbeitet mit einem Regelwerk. Nach Regel 11 ist Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, typischerweise Klasse IIa oder höher, und Software, die zum Tod oder zu irreversiblen Schäden führen kann, erreicht Klasse III. Die meiste klinische KI landet in Klasse IIa oder IIb, was die Prüfung durch eine Notified Body (eine benannte Stelle, also eine unabhängige Organisation, die Produkte auditiert und zertifiziert) erfordert. Eine Abkürzung über „substantial equivalence“ gibt es nicht.
• Kein formales PCCP-Äquivalent (noch nicht). Das ist der Kern. Die MDR hat kein direktes Pendant zum PCCP der FDA. Eine „significant change“ an einem Produkt löst grundsätzlich eine neue Konformitätsbewertung aus. Was bei einem lernenden Algorithmus als signifikant gilt, wird über Guidance und die Praxis der Notified Bodies noch geklärt, in der EU tragen Sie also mehr Unsicherheit.
• Die CE-Kennzeichnung ist die Zulassung der EU, erteilt nachdem die Notified Body die Konformität bestätigt hat.

Die praktische Folge: Eine Änderung, die unter Ihrem US-PCCP vorab genehmigt ist, kann in der EU trotzdem den Weg zurück zu Ihrer Notified Body erfordern. Wenn Sie in beiden Märkten verkaufen, wird Ihre Update-Kadenz faktisch vom strengeren der beiden Systeme bestimmt.

Die Go-to-Market-Strategie entwerfen

Jetzt fügen wir die Teile für unseren kontinuierlich lernenden Retinopathie-Algorithmus zusammen.

Schritt 1: Den Intended Use beim Launch eng fassen. Beanspruchen Sie „Unterstützung für geschulte Kliniker“, nicht „autonomes Screening“. Das senkt Ihre Risikoklasse in beiden Regionen und hält Modell-Updates innerhalb der Grenzen, die Sie vorab genehmigen lassen können.

Schritt 2: Einen ambitionierten, aber verteidigbaren PCCP für die USA schreiben. Nehmen Sie das Retraining auf, von dem Sie *wissen*, dass es kommt (periodische Aktualisierung mit neuen Bildern derselben Population), aber schließen Sie spekulative Erweiterungen aus. Definieren Sie harte Akzeptanzkriterien, zum Beispiel: Eine neue Version darf die Sensitivität auf einem Hold-out-Testset, das für die Zielpopulation repräsentativ ist, nicht unter die zugelassene Baseline senken.

Schritt 3: Märkte sequenzieren. Viele AI-Medtech-Unternehmen streben zuerst die FDA-Zulassung an, weil der PCCP klarere Update-Rechte gibt und weil das Predicate-System für ein Produkt mit bestehenden Vergleichsprodukten schneller sein kann. Behandeln Sie den EU-Eintritt als eigenen Workstream mit eigener Notified-Body-Timeline.

Schritt 4: Das Monitoring aufbauen, das Sie sowieso brauchen. Beide Systeme erwarten Post-Market Surveillance: laufende Beobachtung der Performance in der Praxis. Bei KI ist das spezifische Risiko Data Drift, wenn sich die Verteilung der Live-Daten von Ihren Trainingsdaten entfernt und die Genauigkeit unbemerkt verschlechtert.

Ein minimaler Drift-Monitor ist wirklich einfach zu beschreiben:

# Flag distribution shift between training and live inputs
from scipy.stats import ks_2samp

def drift_check(train_scores, live_scores, alpha=0.01):
    stat, p_value = ks_2samp(train_scores, live_scores)
    return p_value < alpha  # True = signifikanter Drift, untersuchen

# In der Produktion speist das Ihren PCCP-Retraining-Trigger und
# Ihre MDR-Post-Market-Surveillance-Akte.

Regulierer schreiben nicht genau diesen Test vor, aber sie erwarten Belege dafür, dass Sie eine Verschlechterung erkennen können, bevor Patienten Schaden nehmen. Verdrahten Sie die Ergebnisse Ihres Monitorings direkt mit Ihren PCCP-Retraining-Triggern und Ihrer MDR-Surveillance-Dokumentation.

Häufige strategische Fehler

Den PCCP als Nachgedanken behandeln. Er gehört in Ihre ursprüngliche Einreichung. Ihn später nachzurüsten bedeutet eine neue Einreichung.

Einen PCCP so breit schreiben, dass die FDA ihn ablehnt. „Wir ändern das Modell nach Bedarf“ ist kein Plan. Spezifität ist das, was Ihnen die Vorab-Genehmigung verschafft.

Annehmen, dass eine FDA-Clearance in die EU übertragbar ist. Ist sie nicht. Es sind getrennte Zulassungen mit unterschiedlicher Logik (Predicates versus Regeln, PCCP versus Significant-Change-Bewertung).

Die Menschen vergessen. Beide Regime prüfen zunehmend Human Factors: wie ein Kliniker den Output tatsächlich nutzt. Ein Algorithmus, der technisch genau ist, aber Nutzer in Richtung Automation Bias schiebt, kann die Prüfung trotzdem nicht bestehen.

Wichtigste Erkenntnisse

• SaMD-Klassifizierung und Patientenrisiko bestimmen alles. Fassen Sie Ihren Intended Use beim Launch eng, um die Risikoklasse zu senken und den Spielraum für freie Updates zu vergrößern.
• Der PCCP ist Ihr zentrales US-Instrument für lernende Algorithmen. Er erlaubt die Vorab-Genehmigung definierter Modelländerungen, aber nur, wenn Sie Modifikationen, Protokoll und Risikobewertung im Vorfeld spezifizieren.
• Die EU-MDR hat kein direktes PCCP-Äquivalent. Signifikante Änderungen können eine neue Bewertung durch die Notified Body auslösen, Ihre globale Update-Kadenz kann also durch das strengere Regime begrenzt sein.
• Post-Market Surveillance und Drift-Monitoring sind nicht verhandelbar. Bauen Sie das Tooling früh und speisen Sie es in Ihre US-Retraining-Trigger und Ihre EU-Surveillance-Akte ein.
• Sequenzieren, nicht annehmen. FDA- und EU-Zulassung sind getrennte Workstreams; planen Sie Timelines und Evidenz für beide, statt zu erwarten, dass eine die andere trägt.

*Diese Lektion dient der Weiterbildung und ist keine rechtliche oder regulatorische Beratung. Ziehen Sie für ein konkretes Produkt qualifizierte regulatorische Beratung hinzu.*